Una de las maneras más efectivas para que los profesionales de la tecnología de la información (TI) descubran las debilidades de una empresa antes de que lo hagan los ciberdelincuentes es a través de pruebas de penetración. Al simular ataques cibernéticos del mundo real, las pruebas de penetración, a menudo llamadas pentests, proporcionan información invaluable sobre la postura de seguridad de una organización, revelando debilidades que podrían llevar a brechas de datos u otros incidentes de seguridad.
Vonahi Security, los creadores de vPenTest, una plataforma automatizada de pruebas de penetración de redes, acaba de publicar su informe anual, «Los 10 Principales Hallazgos Críticos de Pentest 2024». En este informe, Vonahi Security realizó más de 10.000 pentests de redes automatizados, descubriendo los 10 principales hallazgos de pentest de redes internas en más de 1.200 organizaciones.
A continuación, se presentan estos hallazgos críticos para comprender mejor las vulnerabilidades explotables comunes que enfrentan las organizaciones y cómo abordarlas de manera efectiva.
1. Suplantación de Multicast DNS (mDNS)
El Multicast DNSDNS (Domain Name System) es un sistema de nombres de dominio... (mDNS) es un protocolo utilizado en redes pequeñas para resolver nombres DNS sin un servidor DNS local. Esto puede ser explotado por atacantes que pueden responder con la dirección IP de su propio sistema.
Recomendaciones:
- Desactivar mDNS si no se está utilizando, lo cual se puede lograr deshabilitando el servicio Apple Bonjour o avahi-daemon.
2. Suplantación del Servicio de Nombres NetBIOS (NBNS)
El Servicio de Nombres NetBIOS (NBNS) se utiliza en redes internas para resolver nombres DNS cuando un servidor DNS no está disponible. Esto puede ser explotado por atacantes que pueden responder con la dirección IP de su propio sistema.
Recomendaciones:
- Configurar la clave de registro UseDnsOnlyForNameResolutions para prevenir que los sistemas utilicen consultas NBNS.
- Desactivar el servicio NetBIOS para todos los hosts de Windows en la red interna.
3. Suplantación de Resolución de Nombres Multicast de Enlace Local (LLMNR)
LLMNR es un protocolo utilizado en redes internas para resolver nombres DNS cuando un servidor DNS no está disponible. Esto puede ser explotado por atacantes.
Recomendaciones:
- Configurar la clave de registro de Resolución de Nombres Multicast para prevenir que los sistemas utilicen consultas LLMNR.
- Utilizar Políticas de Grupo para desactivar LLMNR.
4. Suplantación de DNS IPv6
La suplantación de DNS IPv6 ocurre cuando un servidor DHCPv6 falso es desplegado en una red.
Recomendaciones:
- Deshabilitar IPv6 a menos que sea necesario para las operaciones comerciales.
- Implementar guardia DHCPv6 en los switches de red.
5. Sistemas Microsoft Windows Desactualizados
Un sistema Windows desactualizado es vulnerable a ataques ya que no recibe actualizaciones de seguridad.
Recomendaciones:
- Reemplazar las versiones desactualizadas de Microsoft Windows con sistemas operativos actualizados y soportados.
6. Omisión de Autenticación IPMI
El Interfaz de Administración de Plataforma Inteligente (IPMI) permite a los administradores gestionar servidores centralmente, pero tiene vulnerabilidades que permiten a los atacantes omitir la autenticación.
Recomendaciones:
- Restringir el acceso IPMI a un número limitado de sistemas.
- Desactivar el servicio IPMI si no es necesario.
- Cambiar la contraseña de administrador predeterminada por una más segura.
7. Vulnerabilidad RCE de Microsoft Windows (BlueKeep)
Los sistemas vulnerables a CVE-2019-0708 (BlueKeep) fueron identificados durante las pruebas.
Recomendaciones:
- Aplicar actualizaciones de seguridad en los sistemas afectados inmediatamente.
8. Reutilización de Contraseña de Administrador Local
Se encontraron muchos sistemas compartiendo la misma contraseña de administrador local.
Recomendaciones:
- Utilizar soluciones como Microsoft Local Administrator Password Solution (LDAPS) para asegurar que las contraseñas de administrador local no sean consistentes.
9. Vulnerabilidad RCE de Microsoft Windows (EternalBlue)
Los sistemas vulnerables a MS17-010 (EternalBlue) fueron identificados durante las pruebas.
Recomendaciones:
- Aplicar actualizaciones de seguridad en los sistemas afectados inmediatamente.
10. Inyección CGI de Dell EMC IDRAC 7/8 (CVE-2018-1207)
Las versiones de Dell EMC iDRAC7/iDRAC8 anteriores a 2.52.52.52 son vulnerables a CVE-2018-1207, permitiendo a los atacantes ejecutar comandos con privilegios de root.
Recomendaciones:
- Actualizar el firmware a la versión más reciente disponible.
